a)

den juridiske enheds navn

b)

den juridiske enheds identifikationskode

c)

kontaktpersonens navn og kontaktpunkt for den kritiske tredjepartsudbyder af IKT-tjenester

d)

landet, hvor den juridiske enhed har sit vedtægtsmæssige hjemsted

e)

en beskrivelse af koncernstrukturen, herunder som minimum oplysninger om dens modervirksomhed og andre tilknyttede virksomheder, som leverer IKT-tjenester til finansielle enheder i EU. Nævnte oplysninger skal, når det er relevant, inkludere:

f)

et skøn over den markedsandel, som tredjepartsudbyderen af IKT-tjenester besidder i Unionens finansielle sektor, og et skøn over typen af markedsandel efter finansiel enhed, jf. artikel 2, stk. 1, i forordning (EU) 2022/2554, fra året for indgivelse af ansøgningen om at blive udpeget som kritisk og året forud for nævnte ansøgning

g)

en beskrivelse af hver af de IKT-tjenester, der leveres til finansielle enheder i Unionen, herunder:

h)

en liste over finansielle enheder, der gør brug af de IKT-tjenester, som tredjepartsudbyderen af IKT-tjenester leverer, herunder følgende oplysninger for hver af de modtagende finansielle enheder, hvis sådanne foreligger:

i)

en liste over de kritiske tredjepartsudbydere af IKT-tjenester, som indgår i den seneste foreliggende liste over sådanne udbydere offentliggjort af ESA'erne i henhold til artikel 31, stk. 9, i forordning (EU) 2022/2554, og som er afhængige af de tjenester, der leveres af ansøgeren, hvis en sådan foreligger

j)

en selvevaluering af følgende:

k)

oplysninger om en fremtidig forretningsstrategi, som vedrører leveringen af IKT-tjenester og infrastrukturen i finansielle enheder i Unionen, herunder eventuelle planlagte ændringer i koncernen eller ledelsesstrukturen, adgangen til nye markeder eller aktiviteter

l)

identifikation af de underleverandører til den tredjepartsudbyder af IKT-tjenester, som er blevet udpeget som kritiske tredjepartsudbydere af IKT-tjenester

m)

eventuelle andre begrundelser med relevans for ansøgningen fra tredjepartsudbyderen af IKT-tjenester om at blive udpeget som kritisk.

a)

oplysninger om ordninger, der er indgået mellem, og kopier af kontraktlige dokumenter for:

b)

oplysninger om organisations- og koncernstrukturen hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder identifikation alle de enheder, der tilhører den samme koncern, som direkte eller indirekte leverer IKT-tjenester til finansielle enheder i Unionen

c)

oplysninger om de større aktionærer, herunder deres struktur og geografiske spredning, for alle følgende:

d)

oplysninger om den markedsandel, som den kritiske tredjepartsudbyder af IKT-tjenester besidder, efter typen af tjenester, i de relevante markeder, hvor den driver virksomhed

e)

oplysninger om de interne ledelsesordninger i den kritiske tredjepartsudbyder af IKT-tjenester, herunder strukturen med linjer for forvaltningsansvar og regler om ansvarliggørelse

f)

referaterne fra ledelsesorganet og eventuelle relevante interne udvalg i kritiske tredjepartsudbydere af IKT-tjenester, som på en hvilken som helst måde vedrører aktiviteter og risici forbundet med IKT-tredjepartstjenester, som understøtter funktioner i finansielle enheder i Unionen

g)

oplysninger om IKT-sikkerheden hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder relevante strategier, mål, politikker, procedurer, processer, kontrolforanstaltninger til beskyttelse af følsomme data, adgangskontroller, krypteringspraksis, indsatsplaner i forbindelse med hændelser og oplysninger om overholdelse af relevante regler samt nationale og internationale standarder, hvis det er relevant

h)

oplysninger om tekniske og organisatoriske foranstaltninger til sikring af databeskyttelse og fortroligheden af data, herunder personoplysninger og andre data end personoplysninger, gennemførte kontrolforanstaltninger til beskyttelse af følsomme data, adgangskontroller, krypteringspraksis, indsatsplaner i forbindelse med databrud såfremt tredjepartsudbyderen af IKT-tjenester med hensyn til behandling af personoplysninger er omfattet af love fra tredjelande, herunder adgangsanmodninger fra regeringer i tredjelande, en liste over lande og gældende love

i)

oplysninger om de mekanismer, som den kritiske tredjepartsudbyder af IKT-tjenester udbyder til finansielle enheder i Unionen for dataportabilitet, applikationsportabilitet og interoperabilitet

j)

oplysninger om beliggenheden af datacentre og IKT-produktionscentre, som anvendes med henblik på levering af tjenester til de finansielle enheder, herunder en liste over alle relevante lokaler og faciliteter, som tilhører den kritiske tredjepartsudbyder af IKT-tjenester, også uden for Unionen

k)

oplysninger om levering af tjenester, som foretages af den kritiske tredjepartsudbyder af IKT-tjenester fra tredjelande, herunder oplysninger om relevante retlige bestemmelser, som gælder for personoplysninger og andre data end personoplysninger, som behandles af tredjepartsudbyderen af IKT-tjenester

l)

oplysninger om foranstaltninger, der træffes for at mindske risici, som hidrører fra leveringen af IKT-tjenester, som foretages af den kritiske tredjepartsudbyder af IKT-tjenester og dennes underleverandører fra tredjelande

m)

oplysninger om rammen for risikostyring og rammen for styring af hændelser, herunder politikker, procedurer, værktøjer, mekanismer og forvaltningsordninger hos den kritiske tredjepartsudbyder af IKT-tjenester og dens underleverandører, herunder en liste og beskrivelse af større hændelser med en direkte eller indirekte indvirkning på finansielle enheder i Unionen, som bl.a. omfatter relevante udførlige oplysninger, der tjener til at fastslå hændelsens betydning for finansielle enheder og vurdere mulige grænseoverskridende virkninger

n)

oplysninger om rammen for styring af ændringer, herunder politikker, procedurer og kontroller med den kritiske tredjepartsudbyder af IKT-tjenester og dens underleverandører

o)

oplysninger om den overordnede indsats- og genopretningsramme hos den kritiske tredjepartsudbyder af IKT-tjenester, som bl.a. omfatter planer for driftsstabiliteten og dermed forbundne ordninger og procedurer, livcykluspolitikker vedrørende softwareudvikling, indsats- og genopretningsplaner og dermed forbundne ordninger og procedurer samt politikker, ordninger og procedurer for sikkerhedskopiering

p)

oplysninger om overvågning af ydeevne, sikkerhedsovervågning og sporing af hændelser samt oplysninger om indberetningsmekanismer, som vedrører udførelse af tjenester, hændelser og overholdelse af serviceniveauaftaler og serviceniveaumål eller lignende ordninger mellem kritiske tredjepartsudbydere af IKT-tjenester og finansielle enheder i Unionen

q)

oplysninger om rammen for styring af IKT-tredjeparter hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder strategier, politikker, procedurer, processer og kontroller, hvilket bl.a. omfatter udførlige oplysninger om den due diligence og risikovurdering, der foretages af den kritiske tredjepartsudbyder af IKT-tjenester over for dens underleverandører inden de indgår en aftale med dem for at overvåge forholdet, hvilket omfatter alle relevante IKT- og modpartsrisici

r)

udskrifter fra overvågnings- og scanningssystemer hos den kritiske tredjepartsudbyder af IKT-tjenester og hos dens underleverandører, hvilket omfatter, men ikke er begrænset til netværks-, server- og applikationsovervågning, sårbarhedsscanning, logstyring, overvågning af ydeevne, styring af hændelser og målinger sat i forhold til pålidelighedsmål, f.eks. serviceniveaumål

s)

udskrifter fra produktions-, præproduktions- og testsystemer eller -applikationer, som den kritiske tredjepartsudbyder af IKT-tjenester og dens underleverandører anvender til direkte eller indirekte at levere tjenester til finansielle enheder i Unionen

t)

overensstemmelsesrapporter og tilgængelige revisionsrapporter samt eventuelle relevante revisionsresultater, hvilket bl.a. omfatter revisioner, der udføres af nationale myndigheder i og uden for Unionen, hvor en sådan udveksling af oplysninger er fastsat i samarbejdsaftaler, eller certificeringer, som den kritiske tredjepartsudbyder af IKT-tjenester eller dens underleverandører har opnået, herunder rapporter fra interne og eksterne revisorer, certificeringer eller overensstemmelsesvurderinger med industrispecifikke standarder. Dette inkluderer oplysninger om enhver type tilgængelig uafhængig test af modstandsdygtighed i IKT-systemer hos den kritiske tredjepartsudbyder af IKT-tjenester, herunder enhver type trusselsbaseret penetrationstest, som udføres af tredjepartsudbyderen af IKT-tjenester

u)

oplysninger om eventuelle vurderinger, som den kritiske tredjepartsudbyder af IKT-tjenester har foretaget efter dennes anmodning eller på dennes vegne, som evaluerer egnetheden og integriteten af individer, som bestrider vigtige stillinger inden for den kritiske tredjepartsudbyder af IKT-tjenester

v)

oplysninger om eventuelle udbedringsplaner, som skal imødekomme henstillinger i henhold til artikel 3 og relevante dertil knyttede oplysninger, som skal bekræfte, at der er gennemført afhjælpende foranstaltninger

w)

oplysninger om tilgængelige kursusordninger og programmer til bevidstgørelse om sikkerhed for medarbejdere, herunder, hvis det er relevant, oplysninger om investeringer, ressourcer og metoder, som den kritiske tredjepartsudbyder af IKT-tjenester anvender til at uddanne sit personale i at håndtere følsomme finansielle data og opretholde høje sikkerhedsniveauer

x)

oplysninger om de aktiviteter, som den kritiske tredjepartsudbyder af IKT-tjenester udøver, og finansielle regnskaber, herunder oplysninger om budgettet og ressourcer, som vedrører IKT og sikkerhed.

a)

midlertidige statusrapporter og dertil knyttet dokumentation, som præciserer fremskridtene med gennemførelsen af de tiltag og foranstaltninger, der er angivet i den rapport, som den kritiske tredjepartsudbyder af IKT-tjenester har forelagt for den ledende tilsynsførende inden for de af den ledende tilsynsførende fastsatte frister

b)

endelige rapporter og dertil knyttet dokumentation, som præciserer de tiltag eller de afhjælpende foranstaltninger, som den kritiske tredjepartsudbyder af IKT-tjenester har iværksat/truffet for at mindske de risici, der er identificeret i de modtagne henstillinger.

a)

følge den struktur, som den ledende tilsynsførende har angivet i sin anmodning om oplysninger

b)

klart angive, hvor den relevante oplysning findes i den forelagte dokumentation.

a)

tilstrækkeligheden og sammenhængen af de korrigerende og afhjælpende foranstaltninger, som de finansielle enheder har gennemført for at mindske de risici, der er identificeret i henstillingerne

b)

den vurdering, som den ledende tilsynsførende har foretaget af, hvorvidt den kritiske tredjepartsudbyder af IKT-tjenester overholder de foranstaltninger og tiltag, som indgår i rapporten, hvor dette har virkninger for eksponeringen hos de finansielle enheder, som hører under dens ansvarsområde, for de risici, der er identificeret i henstillingerne

c)

holdningen hos andre kompetente myndigheder, som er blevet hørt i overensstemmelse med artikel 42, stk. 5, i forordning (EU) 2022/2554

d)

hvorvidt den ledende tilsynsførende anser de tiltag og foranstaltninger, som den kritiske tredjepartsudbyder af IKT-tjenester har gennemført, som tilstrækkelige med henblik til at mindske eksponeringen hos de finansielle enheder, der hører under dens ansvarsområde, for de risici, der er identificeret i henstillingerne.